Guia de implementacion de ISO/IEC 42001 para empresas europeas

ISO/IEC 42001 establece requisitos para un sistema de gestion de IA: politica, roles, gestion de riesgos, gobernanza de datos, ciclo de vida del modelo, evaluacion de impacto, supervision humana, monitorizacion y mejora continua [1]. La norma especifica controles aplicables que la empresa selecciona y justifica segun su perfil de riesgo, similar a ISO 27001 para seguridad [3].

ISO 42001 cubre el lado organizativo y de gobernanza [1]. El Reglamento de IA cubre obligaciones tecnicas y de producto, incluyendo documentacion del Anexo IV y evaluacion de conformidad bajo los Anexos VI y VII [2]. La Oficina Europea de IA esta publicando guias de aplicacion que clarifican el limite entre ambos planos [4]. Una empresa puede certificar 42001 sin cumplir el Reglamento, y viceversa. La realidad practica es que mas de la mitad de los controles 42001 producen evidencia util para la conformidad del Reglamento. Recomendamos hacerlos en paralelo.

Para una empresa pequena con uno o dos sistemas de IA, entre 6 y 9 meses hasta auditoria. Para una empresa grande con cartera de sistemas, 12 a 18 meses. La auditoria interna previa suele encontrar el 30% al 40% de las brechas; la auditoria externa formaliza el certificado. La acreditacion del organismo de certificacion se gestiona en Espana a traves de ENAC [5].

Estamos sometiendo nuestro sistema de gestion de IA a auditoria conforme a ISO/IEC 42001 [1]. La auditoria cubre politica, gestion de riesgos, evaluacion de impacto, ciclo de vida del modelo, supervision humana y monitorizacion. La certificacion ISO 27001 esta en curso, no certificada todavia [3].